В этом недельном обзоре угроз — четыре истории, которые касаются обычных аккаунтов и соединений: zero-day уязвимости в службах поддержки, поддельные HTTPS-сертификаты, арест, связанный с ShinyHunters, и вредоносное ПО, созданное для обмана систем защиты на основе ИИ. Для еженедельного обзора кибербезопасности, на который могут опираться пользователи, заботящиеся о приватности, полезный вопрос не в том, насколько тревожно звучит каждый заголовок. А в том, какие привычки делают каждую из этих атак менее эффективной.

Замечание об охвате: обзор, на который мы опираемся, перечисляет эти темы в краткой форме. Мы ограничили эту статью тем, что сказано в этом обзоре, и широко известной практикой защиты, а не догадками о технических деталях, жертвах или сроках, которые не были предоставлены.

Что арест ShinyHunters значит для владельцев аккаунтов

В обзоре выделяется арест, связанный с ShinyHunters. Арест — хорошая новость, но он не должен менять то, как вы защищаете свои собственные аккаунты. Кража данных и злоупотребление учётными данными редко бывают делом одного человека, а информация, которая уже была раскрыта, не исчезает, когда подозреваемого задерживают.

Практический вывод: относитесь к своим учётным данным как к тому, что может уже находиться в обращении. Используйте уникальный пароль для каждого сервиса, чтобы один раскрытый логин не мог открыть доступ к другим. Менеджер паролей делает это реалистичным. Там, где сервис это предлагает, включите многофакторную аутентификацию и предпочитайте устойчивые к фишингу варианты, такие как passkeys или аппаратные ключи безопасности, вместо кодов, присылаемых по SMS.

Поддельные HTTPS-сертификаты: как распознать соединение, которому нельзя доверять

Поддельные HTTPS-сертификаты — ещё один пункт в обзоре этой недели. HTTPS полагается на сертификаты, чтобы доказать, что сайт, на который вы попадаете, — тот, который вы хотели посетить. Если сертификат выдан неправомерно, злоумышленник может выдать себя за сайт, поэтому проблемы с сертификатами важны даже для тех, кто только просматривает сайты и делает покупки онлайн.

Вам не нужно проверять сертификаты вручную, но следует уважать предупреждения, которые выдаёт ваш браузер:

  • Никогда не игнорируйте предупреждение о сертификате. Если сайт, которым вы пользуетесь ежедневно, внезапно показывает такое предупреждение, остановитесь и не вводите учётные данные или платёжные данные.
  • Попробуйте другую сеть. Если предупреждение исчезает при использовании мобильных данных, проблема может быть связана с сетью, в которой вы находились, например с публичным Wi-Fi.
  • Держите браузер и операционную систему обновлёнными. Обновления содержат изменения в списках доверенных сертификатов и проверках безопасности.
  • Внимательно проверяйте адрес. Похожие домены — распространённый способ сочетать убедительную страницу с действительным сертификатом.

VPN шифрует трафик между вашим устройством и VPN-сервером, но он не делает недоверенный сайт заслуживающим доверия. Предупреждение о сертификате заслуживает такой же осторожности как с VPN, так и без него.

Zero-day уязвимости в службах поддержки и урок социальной инженерии

В обзоре также отмечены zero-day уязвимости, затрагивающие программное обеспечение служб поддержки. Zero-day — это уязвимость, которую злоумышленники эксплуатируют до появления исправления, поэтому отдельный пользователь мало что может сделать с самой уязвимостью. Что вы можете контролировать — это то, как вы реагируете, когда с вами кто-то связывается.

Каналы служб поддержки привлекательны для злоумышленников, потому что они находятся близко к восстановлению аккаунтов, сбросу паролей и удалённому доступу. Будь слабость в программном обеспечении или в человеке, схема похожа: убедительный запрос приходит через канал, которому вы склонны доверять. Полезные привычки включают:

  • Проверяйте любой контакт со службой поддержки, используя официальный номер или портал, который вы нашли сами, а не тот, что указан в электронном письме, сообщении или звонке.
  • Относитесь с подозрением к любому, кто просит одноразовые коды, удалённый доступ или сброс пароля, который вы не запрашивали.
  • Считайте срочность предупреждающим знаком. Надлежащая поддержка не будет наказывать вас за паузу для проверки.

Если вы управляете ИТ для команды или семьи, оперативно применяйте обновления от поставщиков, когда они становятся доступны, поскольку исправления эксплуатируемых уязвимостей — самые срочные обновления, которые вы увидите.

Вредоносное ПО, обманывающее ИИ, и что это меняет для повседневной защиты

Последний пункт — вредоносное ПО, созданное для обмана ИИ. Многие средства безопасности теперь используют машинное обучение для выявления подозрительных файлов и поведения, и злоумышленники адаптируются, пытаясь проскользнуть мимо этих систем. Для обычных пользователей урок в том, что ни одного автоматизированного уровня само по себе недостаточно.

Это вписывается в более широкую тенденцию, в которой обман нацелен как на автоматизированные системы, так и на людей. Наш предыдущий материал о том, как хакеры Aurora обманом заставили Cursor AI взломать 7 фирм, показывает, что злоумышленники нацеливаются непосредственно на инструменты ИИ, а наш отчёт об инструменте ИИ-дипфейков, нацеленном на KYC-верификацию в криптосфере, показывает, как синтетические медиа могут использоваться против проверок личности. Поддержание актуальности программного обеспечения безопасности по-прежнему важно, но сочетайте его с привычками, которые не зависят только от программного обеспечения: осторожные загрузки, ограниченные разрешения приложений и здоровый скептицизм к неожиданным вложениям.

Что это значит для вас: еженедельный обзор кибербезопасности для пользователей, заботящихся о приватности

Ни одна из историй этой недели не требует паники, и ни одна из них не решается одним продуктом. Каждая из них вознаграждает одну и ту же базовую дисциплину: исходите из того, что учётные данные могут утечь, что соединение может быть подделано, что запрос в поддержку может быть фальшивым и что автоматизированную защиту можно обойти. Многоуровневые привычки закрывают пробелы между этими допущениями.

Ваш чек-лист на эту неделю

Если вы возьмёте из этого еженедельного обзора кибербезопасности для пользователей, заботящихся о приватности, одну вещь, пусть это будет этот короткий список:

  1. Используйте устойчивую к фишингу MFA, такую как passkeys или ключи безопасности, везде, где она доступна.
  2. Используйте менеджер паролей, чтобы держать уникальный, надёжный пароль для каждого аккаунта.
  3. Никогда не игнорируйте предупреждения о сертификатах и переключайте сети, если такое предупреждение появляется неожиданно.
  4. Проверяйте контакты службы поддержки через официальные каналы, прежде чем делиться кодами или предоставлять доступ.
  5. Держите устройства и приложения обновлёнными и не полагайтесь на какую-либо единственную автоматизированную защиту.

Для более глубокого чтения о том, как обман нацелен и на людей, и на машины, начните с двух связанных статей, указанных выше, об атаках на основе ИИ.